Cloudflare 的 EmDash 1.0 转正了：用 Astro 重写 WordPress，难的从来不是技术

9 月 28 日，Cloudflare 在自己的”生日周”上宣布 EmDash 1.0 转正。这个今年 4 月 1 日以”WordPress 精神继任者”身份登场的 CMS，终于从愚人节玩笑的嫌疑里走了出来——稳定的、免费的、MIT 许可的、基于 Astro 的开源 CMS。

先说它到底改了什么。

EmDash 的整个卖点，可以用 Cloudflare 官方那段话来概括：在 WordPress 里，插件和主程序跑在同一个 PHP 进程里，直接握着数据库、文件系统和网络的访问权。“一个联系表单插件，理论上可以读你未发布的草稿、改动另一个插件，或者把数据发到任何地方。“而站长的应对方式，往往只是——相信它不会。

EmDash 的答案是沙箱。插件跑在隔离的运行时里，有自己的私有存储，默认碰不到站点内容、媒体、用户、密钥和文件系统，也连不上网络；要用哪个能力，得在清单里显式声明。它也是第一个把插件注册表建在 AT Protocol 上的 CMS：开发者在自己账号里签名发布包和版本记录，靠 Merkle 搜索树的包含证明来校验，没人能替你把包”下架”或改掉发布历史。

数据上也能看：175 位以上贡献者、1800 多次提交；Cloudflare 自己在 8 月把官方博客整个迁了过来，扛住过每秒 5000 次的流量尖峰；Avulux 用它的 Agent Skills 在一天之内搬完了一个定制微站。编辑管内容，开发者用 Astro 写站，AI agent 走 API、CLI 或内置的 MCP server——这个分工确实比传统 CMS 清楚。

但 1.0 之后，真正的难题才浮出来：生态。

EmDash 能导入 WordPress 的内容，但不导入主题，也不导入 PHP 插件。这句话的翻译是：你这些年攒下的插件和主题资产，一样带不走。所谓”WordPress 继任者”，目前更像”给新项目的一个新选项”，而不是”给存量站点的一条退路”。

更值得留意的是绑定问题。1.0 的四个旗舰功能——Hyperdrive 数据库适配器、Workers 缓存兼容、按项目隔离的构建沙箱、基于 Cloudflare Artifacts 的 Git 提交追踪——全都依赖 Cloudflare 自家的基础设施；新的 EmDash Build 用 AI 生成站点，也跑在它的 AI 网关上。官方说它不绑 Cloudflare，你可以自己跑 Node 进程；但现实是，要拿到完整体验，最省事的路仍然是付一个 Workers 付费账户。这也是 WordPress 阵营最直接的攻击点——“自由”这个词，两家嘴里说的不是一回事。

我的判断是：EmDash 短期内不会取代 WordPress。全球四成以上的网站还跑在 WordPress 上，那不是一个靠”插件更安全”就能撬动的数字。

但它把两件事摆上了台面，而且很难再被无视。第一是插件的权限模型：声明式能力加沙箱隔离，这个方向几乎肯定是对的——想想这个月 WordPress 刚修的评论表单 XSS，和那个一发布就被探测的页面模板漏洞 CVE-2026-87902。第二是去中心化的插件注册表：如果这套真能跑通，“你的插件会不会被平台下架”就不再是站长需要操心的事。

对独立博主来说，我的建议很朴素：如果你正准备开一个新站，尤其是不依赖大量现成插件的类型，EmDash 值得放进候选名单；但如果你有一个跑了五年的 WordPress，插件和主题就是身家，那先别急，等它的插件生态长出第一批真正好用的东西再说。用 Astro 重写 WordPress，技术上 Cloudflare 已经证明了不难；难的是让写插件的人愿意搬过来——那是十年积累出来的生态，不是一个大版本号能替代的。